Red Hat и IBM переводят правила безопасности ИИ в код — и дают Lightwell университетам бесплатно

Сегодня этот путь обычно разделен между специалистами по комплаенсу, разработчиками, исследователями данных и администраторами инфраструктуры. asago пытается связать эти этапы в единый, проверяемый процесс .

Как работает проект

Заявленный рабочий процесс asago включает несколько шагов:

• чтение загруженных документов с правилами и требованиями к управлению ИИ;
• сопоставление отдельных положений с признанными рамками оценки рисков — в частности, NIST AI RMF, OWASP LLM Top 10 и Законом ЕС об искусственном интеллекте — с помощью IBM AI Risk Atlas ;
• создание тестов безопасности для выявленных рисков;
• подготовку рекомендаций по снижению рисков;
• преобразование рекомендаций в готовые к развертыванию конфигурации для Kubernetes, Terraform и Ansible .

Важная особенность — аудитный след. Каждый этап должен связывать конкретный пункт политики с тестом или эксплуатационным контролем. Это позволяет проверяющему проследить, какое действующее ограничение основано на каком требовании .

Red Hat заявила, что проект призван сократить срок внедрения таких средств контроля с месяцев до дней . При этом asago пока находится на этапе формирования сообщества, а его репозиторий на GitHub открыт для изучения разработчиками, исследователями и первыми корпоративными пользователями .

На какие стандарты ориентируется asago

Проект прямо сопоставляет свои процессы с тремя широко используемыми источниками требований:

• NIST AI RMF — рамочная модель Национального института стандартов и технологий США для управления рисками ИИ;
• OWASP LLM Top 10 — перечень основных угроз для приложений на базе больших языковых моделей;
• EU AI Act — Закон Европейского союза об искусственном интеллекте .

Такой подход должен помочь организациям связать юридические и корпоративные формулировки с тем, что можно реально протестировать и настроить в инфраструктуре.

Кто участвует в asago

В число основателей и участников коалиции вошли :

• Red Hat — ведущий участник проекта;
• IBM Research;
• Microsoft;
• NVIDIA;
• MIT Lincoln Laboratory;
• North Carolina State University;
• The Alan Turing Institute;
• Alquimia AI;
• Brave Software;
• коалиция EvalEval;
• Interdisciplinary Transformation University Austria.

Ожидается, что по мере развития проекта к нему присоединятся другие организации. asago создается по лицензии Apache 2.0, которая разрешает использовать, изменять и распространять код на условиях этой открытой лицензии .

Lightwell: бесплатный доступ для университетов и НКО

Вторая часть объявлений касается Lightwell — платформы, которая с помощью ИИ выявляет, проверяет и исправляет уязвимости в пакетах открытого программного обеспечения .

IBM и Red Hat сообщили, что бесплатный доступ получат более 185 исследовательских университетов и 100 крупных НКО и аналитических центров в США. Подключение подходящих организаций началось в августе 2026 года .

Что делает платформа

Lightwell объединяет генеративный ИИ-движок для устранения уязвимостей с работой инженеров IBM и Red Hat . Платформа:

1. выявляет уязвимые зависимости;
2. предлагает исправления;
3. подвергает их технической проверке;
4. подготавливает материалы, которые можно использовать в действующей программной среде .

IBM и Red Hat также подчеркивают, что участвующие организации сохраняют контроль над конфиденциальной информацией. Lightwell работает в существующей среде учреждения и не требует доступа к закрытому исходному коду, исследовательским материалам или личным данным .

Программа придерживается принципа «сначала upstream»: исправления направляются на рассмотрение исходным сообществам открытого ПО. В результате улучшения должны быть полезны не только участникам программы, но и другим пользователям соответствующих проектов .

Что получают участники

В пакет Lightwell входят:

• проверенные исправления для уязвимого открытого ПО;
• исходный код и бинарные файлы с цифровой подписью;
• SBOM — перечень компонентов программного продукта, или Software Bill of Materials;
• документация для подтверждения соответствия требованиям;
• исправления для версий ПО, которые уже работают в продуктивной среде и не могут быть немедленно обновлены до новой мажорной версии .

По данным IBM и Red Hat, число проверенных и исправленных версий пакетов в Lightwell выросло примерно с 6 500 до более чем 8 000. В этот объем вошли исправления для 64 ранее не раскрытых уязвимостей .

Почему это важно для безопасности ИИ

Современные ИИ-системы строятся на больших цепочках зависимостей открытого ПО. Уязвимость в одном из компонентов может затронуть приложения, модели, инструменты оркестрации и инфраструктуру, на которой работают ИИ-агенты. При этом ИИ способен помогать не только защитникам, но и злоумышленникам быстрее находить и эксплуатировать слабые места .

На этом фоне инициативы IBM и Red Hat закрывают разные участки одной цепочки:

• Lightwell сосредоточен на надежности компонентов и цепочек поставок открытого ПО;
• asago пытается превратить требования к безопасности и управлению ИИ в тесты, рекомендации и исполняемые настройки;
• бесплатная программа Lightwell адресована организациям, у которых часто нет достаточного бюджета и штата специалистов по кибербезопасности .

Инициативы развивают обязательство IBM и Red Hat на 5 млрд долларов, объявленное в мае 2026 года в рамках Project Lightwell , а также связаны с Open Secure AI Alliance, созданным NVIDIA при участии Red Hat в качестве одного из первых членов .

Вице-президент Red Hat по разработке ИИ Стивен Хьюэлс сформулировал задачу так: «По мере того как организации переходят от экспериментальных пилотов ИИ к постоянно работающим автономным агентам, четкие операционные ограничения становятся требованием к критически важной инфраструктуре» .

Практический смысл asago — сделать эти ограничения воспроизводимыми и проверяемыми. Смысл Lightwell — снизить риск в программных компонентах, на которых такие системы построены. Обе инициативы исходят из того, что безопасность ИИ невозможно обеспечить только силами одной компании или одной команды .